パスキーでログインできる管理者アカウント
最終検証日：
翻訳: 竹洞 陽一郎
将来、シングルサインオン（SSO）のIDプロバイダが原因で管理者がログインできなくなる事態に備えて、パスキーでログインできる管理者ユーザーをあらかじめ用意しておくことを推奨します。
想定しているのは、tailnet自体は正常に動作しているにもかかわらず、IDプロバイダ側の認証によって全員がログインできなくなる状況です。
このとき、パスキーでログインできる管理者が既に存在していれば、その管理者が管理タスクを実行して復旧できます。
パスキーの代わりに、ログインを妨げている原因となっているものとは別のIDプロバイダでログインできる管理者を用意しておく方法もあります。
仕組み
Tailscaleはパスキー（英語）によるログインに対応しており、この方法はSSOに依存しません。
Adminロールを持つユーザーは、ユーザーの招待、デバイスの承認、tailnetポリシーファイルの編集など、復旧に必要な管理タスクを実行できます。
IT adminロールを持つユーザーは、Adminロールの権限を持つユーザー招待を作成できます。
パスキーでログインできる管理者を作成する
この作業には、Owner、Admin、IT admin（英語）のいずれかのロールが必要です。
- AdminロールまたはIT adminロールを設定したユーザー招待を送信します。
- 招待されたユーザーは、招待リンクをプライベートブラウジング（シークレットモード）のセッションで開きます。既存のアカウントでログインしてしまうことを防ぐためです。
- 招待されたユーザーは、パスキーでログインします。または、ログインを妨げている原因となっていないIDプロバイダで認証します。
以上の手順により、招待されたユーザーがtailnetを管理できるようになります。
AdminロールとIT adminロールでできることの違いについては、Permissions managed by user roles（英語）を参照してください。